微軟簡化IT專業(yè)人員的七大難題
譯文【51CTO快譯】每個人都熟悉十大排行榜。有十大最佳衣著排行榜、十大最差衣著排行榜、十大狗名排行榜、十大度假勝地排行榜等。不過，我們這里介紹的是七大排行榜，關(guān)注微軟桌面優(yōu)化包（簡稱MDOP）能為 IT 專業(yè)人員簡化的七大難題。
1. 應(yīng)用程序沖突、用戶配置以及Windows部署
我們都知道將合適的應(yīng)用程序提供給用戶的機(jī)器面臨重大挑戰(zhàn)。你必須創(chuàng)建安裝文件；在基本映像中測試，并與其他應(yīng)用程序一道測試，確保它不會破壞任何東西；弄清楚誰需要該應(yīng)用程序、用戶使用哪些計算機(jī)作為主機(jī)器；確定把應(yīng)用程序分發(fā)到什么機(jī)器上；安排在夜間進(jìn)行分發(fā)，那樣用戶在工作時間不會受到影響；需要的話，重新啟動，然后檢查，確保應(yīng)用程序成功安裝，重新將應(yīng)用程序分發(fā)到失敗或疏忽的機(jī)器上。這一切需要在整個過程中投入大量的工作，確保一切運行正常。
別誤會我的意思；這套方法已用了好多年。但如果你可以運用同樣原則、整合步驟，為貴企業(yè)節(jié)省時間和金錢，將會怎么樣？如果你可以大幅縮短從接到請求到用戶可以投入運行的時間，同時讓用戶能夠在需要時“獲取”應(yīng)用程序，將會怎么樣？請繼續(xù)讀下去。
借助微軟應(yīng)用程序虛擬化技術(shù)（App-V），你只要將應(yīng)用程序與操作系統(tǒng)分離出來，就可以在賦予IT人員所需的控制權(quán)與滿足用戶要求（要求靈活、任何地方都能獲得應(yīng)用程序）之間求得平衡。換句話說，每一個應(yīng)用程序單獨打包，與操作系統(tǒng)及其他應(yīng)用程序隔離開來，但是仍可以彼此聯(lián)系，充分利用系統(tǒng)資源。嚴(yán)格地說，每個應(yīng)用程序各自都能看到系統(tǒng)文件和注冊表的視圖，因此該應(yīng)用程序所作的變更都在其虛擬環(huán)境中得到控制，并不影響系統(tǒng)或其他應(yīng)用程序。除此之外，由于應(yīng)用程序不需要對系統(tǒng)進(jìn)行變更，使用App-V時，你從來不用安裝應(yīng)用程序。這很棒，也大有助益。由于對基本操作系統(tǒng)沒有什么變更，操作系統(tǒng)仍保持原始狀態(tài)，應(yīng)用程序相互之間的影響極小，大大減少了沖突。
還減少了部署軟件和Windows的時間和成本。你的測試時間變短了，因為每個應(yīng)用程序彼此隔離開來。一旦你為應(yīng)用程序安排了順序、賦予適當(dāng)權(quán)限，并將其程序包放在服務(wù)器上，相應(yīng)圖標(biāo)就會立即呈現(xiàn)在用戶面前。用戶不必等待應(yīng)用程序安裝，就可以啟動應(yīng)用程序，因為應(yīng)用程序可以按照需要，進(jìn)行流式下載。安裝一臺新的Windows 7計算機(jī)如同裝入基本映像，讓用戶登錄一樣簡單：App-V會完成其余工作。
由于應(yīng)用程序從未安裝，與應(yīng)用程序故障排除有關(guān)的技術(shù)支持時間也縮短了。不必為應(yīng)用程序排除故障，也不必卸載/重新安裝應(yīng)用程序。相反，只要執(zhí)行還原或修復(fù)操作，你又可以正常運行了。
證明App-V功能之強(qiáng)大的另一個典例就是在一個桌面上運行兩個版本的微軟Office。如果你曾經(jīng)嘗試在同一臺計算機(jī)上運行Office的兩個不同版本，就知道這對大多數(shù)普通人來說幾乎是不可能的。由于眾多的共享和通用文件，兩個版本會相互干擾。貴企業(yè)可能有用戶或業(yè)務(wù)應(yīng)用程序仍需要早期版本的 Excel、Access或Office的另一個組件，但是用戶希望能夠使用最新的Office版本來處理大部分工作，因為更新穎的Office版本提供了改進(jìn)的功能，可以提高用戶的工作效率。
你可以從圖1看出，使用App-V做到這一點很簡單，也很容易。由于Office 2007和Office 2010這兩個版本都進(jìn)行了虛擬化處理，并且彼此隔離，因而可以并行運行。
圖1：多虧了App-V，Office 2007和Office 2010得以并行運行
如果你希望查看App-V或任何MDOP產(chǎn)品，可以通過訂閱MSDN或TechNet來獲得相關(guān)內(nèi)容。如果你準(zhǔn)備部署64 位Windows 7或Windows Server 2008 R2，可以從微軟Connect下載App-V 4.6測試版（https://connect.microsoft.com/AppV46.aspx）。#p#
2. 應(yīng)用程序與操作系統(tǒng)不兼容
IT專業(yè)人員面臨的最頭痛的難題之一就是，處理應(yīng)用程序兼容性問題。這可能是企業(yè)內(nèi)部編寫的應(yīng)用程序，只能在舊版操作系統(tǒng)上運行；也可能是從外面買來的軟件包，但你根本沒有時間在新操作系統(tǒng)上完成測試。
你可能已聽說，Windows 7引入了Windows XP模式；該模式讓無法在 Windows 7上運行的應(yīng)用程序可以在虛擬Windows XP環(huán)境下運行，但是看起來就像它們?nèi)哉０惭b在計算機(jī)上那樣。雖然這對只有幾臺計算機(jī)的小企業(yè)來說是很好的解決方案，但是對大型企業(yè)來說很快就會變成一個管理難題。
這時我們可以使用MDOP這把瑞士軍刀中的微軟企業(yè)桌面虛擬化（MED-V）這個工具。
MED-V為你提供了XP模式的全部功能：可以在隱藏起來、用戶看不見的本地XP虛擬機(jī)中運行應(yīng)用程序；另外，借助MED-V，你擁有了IT專業(yè)人員部署虛擬Windows XP環(huán)境所需要的控制和管理功能。
MED-V有助于將IT人員管理的虛擬XP環(huán)境部署到最終用戶面前。它可以對每一個環(huán)境進(jìn)行定制。比如說，它可以使虛擬機(jī)的首次安裝實現(xiàn)自動化，根據(jù)計算機(jī)設(shè)置來確定網(wǎng)絡(luò)連接，為虛擬機(jī)賦予獨特名稱，并且將虛擬機(jī)加入到活動目錄域。然后，它可以根據(jù)主機(jī)上的可用內(nèi)存，調(diào)整計算機(jī)的虛擬內(nèi)存。此外，MED-V可以幫助你為用戶和用戶組配置虛擬映像。你還能選擇將來可以使用哪些特定的應(yīng)用程序。這些應(yīng)用程序從Windows 7開始菜單啟動，可以在用戶的Windows 7桌面上無縫運行。
MED-V的一種很好的使用場景是，當(dāng)一些內(nèi)部的Web應(yīng)用程序與新的Internet Explorer無法順暢地協(xié)同運行，但是仍需要Internet Explorer 6時。使用MED-V，你可以指定單個網(wǎng)站，那樣用戶試圖訪問這些網(wǎng)站時（通過在默認(rèn)瀏覽器中輸入URL），訪問請求會自動由MED-V客戶端自動重定向至虛擬XP環(huán)境，在Internet Explorer 6中運行。
最后，MED-V增加了監(jiān)控和故障排除功能，確保部署到成百上千臺計算機(jī)上的虛擬環(huán)境總體上運行狀況良好。#p#
3. 恢復(fù)無法啟動的計算機(jī)
為毫無反應(yīng)或無法啟動的計算機(jī)排除故障很費時間，而且常常得不到解決辦法。因此，許多IT專業(yè)人員索性為計算機(jī)重新建立映像。在沒有使用漫游配置文件的企業(yè)，這么做會導(dǎo)致設(shè)置丟失，還有可能導(dǎo)致存儲在本地驅(qū)動器上的關(guān)鍵數(shù)據(jù)丟失。
你可以借助診斷和恢復(fù)工具集（DaRT）來解決這個問題，DaRT是MDOP的一部分。DaRT結(jié)合了14款用來處理計算機(jī)典型問題的工具。之前熟悉Winternals工具的那些人會認(rèn)出屬于DaRT核心的ERD Commander。但是DaRT還包括了新工具和改進(jìn)之處。
使用崩潰分析器（Crash Analyzer），你很容易查明無法啟動的計算機(jī)遇到了什么問題。像壞的熱修復(fù)程序安裝這些可以從DaRT里面來恢復(fù)原狀；壞的驅(qū)動程序可以在重新啟動前卸載和移除。你還可以編輯注冊表、使用Computer Management等工具，或者將文件拷貝到USB驅(qū)動器或網(wǎng)絡(luò)上。
如果你在貴企業(yè)內(nèi)使用BitLocker，就可以借助DaRT，恢復(fù)從BitLocker加密的驅(qū)動器中丟失和刪除的文件。
DaRT是你希望永遠(yuǎn)不必使用的工具之一，但是你的工具庫最好有這個工具，以備不時之需。
圖2：DaRT有保持桌面高效運行所需要的許多工具#p#
4. 移除rootkit軟件及其他惡意軟件
間諜軟件、病毒和惡意軟件變得越來越高明，利用rootkit軟件等黑客技術(shù)將自己植入到內(nèi)存中，然后隱藏起來，大多數(shù)檢測機(jī)制檢測不出來。
雖然實時反惡意軟件掃描器非常有效，也是貴企業(yè)基礎(chǔ)架構(gòu)的一個重要部分，但還是有一些漏網(wǎng)之魚，所以采取縱深防御策略很重要。如今市面上的許多反惡意軟件引擎很難有效地移除rootkit軟件，除了清除機(jī)器、重構(gòu)系統(tǒng)外，常常幾乎沒有多少選擇。
但是如果你使用DaRT，就有了一個好得多的選擇：獨立系統(tǒng)清道夫（Standalone System Sweeper），這是DaRT的14個工具之一。由于你能夠從DaRT磁盤啟動計算機(jī)，因此被感染的操作系統(tǒng)在脫機(jī)狀態(tài)下處于非活動狀態(tài)。由于基于硬驅(qū)的操作系統(tǒng)處于脫機(jī)狀態(tài)，獨立系統(tǒng)清道夫就能掃描所有文件和文件夾，rootkit軟件和惡意代碼就無處躲藏。由于它們現(xiàn)在暴露無遺，獨立系統(tǒng)清道夫就能刪除它們。要不是獨立系統(tǒng)清道夫，許多人除了重新格式化有問題的計算機(jī)，然后統(tǒng)統(tǒng)重新安裝一遍外，別無選擇。
圖3：作為DaRT的其中一款工具，獨立系統(tǒng)清道夫很適合清除被感染機(jī)器上的惡意軟件和rootkit軟件。#p#
5. 監(jiān)控錯誤趨勢
你訪問用戶的機(jī)器、發(fā)現(xiàn)某個應(yīng)用程序經(jīng)常崩潰的頻繁程度如何？當(dāng)你詢問用戶時，最常見的回應(yīng)是“機(jī)器一直崩潰不斷”，但你從來沒聽說過這個問題。在所有應(yīng)用程序和系統(tǒng)崩潰事件中，平均大約90%是用戶沒有報告的。用戶只是嘆口氣，重新啟動機(jī)器或重新運行應(yīng)用程序，然后繼續(xù)工作。大多數(shù)時候，發(fā)生這種情況時，用戶可以選擇借助 Windows錯誤報告（WER），自動報告應(yīng)用程序崩潰方面的信息，而這種信息直接發(fā)送到微軟。
在MDOP中，你會找到系統(tǒng)中心桌面錯誤監(jiān)控（DEM）。DEM提供了系統(tǒng)中心操作管理器的一部分功能以監(jiān)控桌面；盡管名稱是這樣，它不需要系統(tǒng)中心服務(wù)器或許可證。使用DEM，你可以建立SQL Server數(shù)據(jù)庫和SQL Reporting Services報告，為你提供關(guān)于貴企業(yè)出現(xiàn)的所有應(yīng)用程序崩潰和藍(lán)屏錯誤的信息。雖然可以設(shè)置警報、以便立即采取操作，最好用它來運行定期報告，查看綜合的錯誤信息。
許多IT專業(yè)人員忙于處理大量的日常請求，無暇積極主動地監(jiān)控錯誤報告，但是不用擔(dān)心：DEM可從兩個方面來幫助你。它能夠?qū)㈠e誤報告發(fā)送到微軟，一旦有了解決這個問題的知識庫文章或補(bǔ)丁，它就會通知你。通過審查報告，并向用戶發(fā)送補(bǔ)丁或更新的驅(qū)動程序，你可以花最少的精力，解決多個最終用戶的問題。
DEM還讓你可以更準(zhǔn)確地對問題進(jìn)行排查，因為你擁有關(guān)于問題嚴(yán)重性的實際統(tǒng)計數(shù)據(jù)，比如被感染用戶的數(shù)量以及這個問題出現(xiàn)在他們機(jī)器上的頻繁程度。有了這些數(shù)據(jù)，你可以集中精力去解決影響最多用戶的問題。
DEM使用Windows錯誤報告（WER），這是最新一代的Watson。由于WER是操作系統(tǒng)的一項特性，應(yīng)用程序的開發(fā)人員就沒必要為它編寫特殊代碼。貴企業(yè)內(nèi)部開發(fā)的應(yīng)用程序發(fā)生的任何崩潰仍會報告給DEM服務(wù)器。
由于DEM被設(shè)為組策略對象（GPO），將DEM部署到整個企業(yè)的桌面上很簡單，不需要安裝客戶端組件。只要在活動目錄中設(shè)置GPO，下一次用戶登錄后，他們的計算機(jī)就會開始將所有錯誤直接報告給你。就這么簡單。
圖4：DEM在內(nèi)置報告中提供了寶貴的數(shù)據(jù)，可以幫助你了解哪些應(yīng)用程序和系統(tǒng)遇到的問題最多，按輕重緩急先后解決問題。#p#
6. 查明用戶在使用什么軟件、你需要什么軟件
你是否曾經(jīng)想知道貴企業(yè)的所有計算機(jī)上到底裝了什么軟件？你知道自己部署的基本映像中有什么軟件，也知道自己安裝了什么軟件，但是知道用戶添加的任何軟件嗎？可曾想過你是否果真需要購買的那套會計軟件的那份可供5000個用戶使用的許可證？
你猜到了，沒錯，MDOP為你提供了解決方案，它就叫資產(chǎn)清查服務(wù)（AIS）。AIS是一種在線服務(wù)，有助于提供貴企業(yè)桌面軟件環(huán)境的綜合信息。
借助AIS，你可以查明某一款軟件部署了多少套、它們部署到了誰的機(jī)器上，以及是否需要向軟件發(fā)布商增加或減少許可用戶的數(shù)量。
你在計劃遷移至Windows 7時，AIS可以提供一份示意圖，表明在當(dāng)前環(huán)境、甚至在你不常訪問的遠(yuǎn)程站點運行著什么應(yīng)用程序，從而幫助你摸清情況。利用這些數(shù)據(jù)，你就可以確定測試和部署時間表及計劃的優(yōu)先順序。#p#
7. 管理組策略
組策略對象讓你能夠同時迅速管理許多計算機(jī)上的多個用戶和桌面設(shè)置，從而在網(wǎng)絡(luò)管理方面起到重大作用。對GPO只要進(jìn)行一次更改，就能影響網(wǎng)絡(luò)上的所有用戶和計算機(jī)。
老話說得好：“能力越大，責(zé)任越大。”一旦你更新了GPO，變更就會開始影響數(shù)百臺計算機(jī)。在你有機(jī)會全面測試更新版之前，更新版可能會干擾整個公司；要是沒有變更控制系統(tǒng)，就無法輕松地恢復(fù)變更。如果你變更了多個策略，又不確定哪個變更引起了干擾，面臨的難度就更大了。
借助MDOP中的高級組策略管理（AGPM），你就有了變更管理解決方案，它可以直接接入到你習(xí)慣使用的當(dāng)前組策略管理控制臺界面。
此外，雖然組策略提供了一種委托模型，但是編輯器角色擁有對工作環(huán)境進(jìn)行變更的全部權(quán)限。由于一個GPO可能有多個編輯器，因而無法檢測出誰進(jìn)行了什么變更，或者無法在生效之前接受或拒絕變更。
借助AGPM，你可以建立一種非常適合貴企業(yè)的委托和工作流模型。使用其報告功能，你可以查明所要管理的任何GPO的變更歷史記錄；萬一發(fā)生問題，可以恢復(fù)原狀。你甚至可以生成報告，比較GPO的兩個先前版本，不同部分用顏色標(biāo)注出來，以便著重顯示。
使用支持Windows 7的AGPM 4.0，你還可以獲得搜索/過濾和多林/域支持。
使用搜索和過濾功能，你可以按GPO的任何屬性來過濾貴企業(yè)的所有GPO。AGPM 可以幫助你更迅速地找到GPO，這樣可以將時間花在更有意義的事情上，而不是將時間花在上下滾動、查找部署的大量組策略上，試圖找到需要更新的某個策略。
新的多林支持功能讓你可以將GPO從一個網(wǎng)絡(luò)移到另一個網(wǎng)絡(luò)，哪怕并不存在物理網(wǎng)絡(luò)連接。你可以在測試環(huán)境中部署和測試GPO，然后等準(zhǔn)備就緒后，可以將它們引入到你的生產(chǎn)環(huán)境林。AGPM會保留原始的元數(shù)據(jù)，并支持遷移表格。
圖5：AGPM讓你可以針對所有組策略對象實施變更控制、工作流和報告。
結(jié)束語
就是這樣。MDOP好比是幫助IT專業(yè)人員應(yīng)對難題的瑞士軍刀。如果你在為貴企業(yè)考慮使用軟件保證（Software Assurance）或平臺企業(yè)協(xié)議，就要確保為軟件包添加了MDOP。所有那些出色的工具只需要每年為每個桌面多花大約10 美元或更少。如果貴企業(yè)已經(jīng)有了軟件保證服務(wù)，但你不知道是否擁有MDOP，就應(yīng)該與采購部聯(lián)系一下，看看是否已經(jīng)擁有可以部署MDOP的許可證。
【編輯推薦】
